Politique de confidentialité Mivare Space. Vos données, nos obligations.

1. Responsable du traitement

Le responsable du traitement des données personnelles décrites dans la présente Politique est MIVARE GROUP PROSTA SPÓŁKA AKCYJNA, dont le siège est à Krasnobród (22-440 Krasnobród ; l’adresse complète du siège est inscrite au Registre judiciaire national (KRS)), inscrite au Registre des entrepreneurs tenu par le Sąd Rejonowy Lublin-Wschód w Lublinie z siedzibą w Świdniku, VI Wydział Gospodarczy KRS, sous le numéro KRS 0001268091, NIP 9223092251, REGON 545767254, agissant sous la marque Mivare Space, ci-après « Mivare ».

Contact pour les questions relatives aux données personnelles : hello@mivaregroup.com ou par écrit à l’adresse du siège inscrite au Registre judiciaire national (KRS). Aucun délégué à la protection des données n’a été désigné.

2. Champ d’application de la Politique

La Politique concerne les données dont Mivare détermine les finalités et les moyens du traitement en lien avec le service Mivare Space : les données des personnes qui créent un Compte entreprise et utilisent l’Application (Utilisateurs), des personnes désignées pour la facturation, des personnes qui contactent le service d’assistance ainsi que les données techniques liées à l’utilisation de l’Application.

La Politique ne concerne pas les données que l’entreprise (le Client) saisit dans l’Application au sujet de ses clients, de leurs appartements et maisons, de ses salariés, de ses sous-traitants, des architectes, des partenaires et d’autres personnes (y compris les photographies d’intérieurs, les vues en plan et le relevé des présences avec la position de l’appareil au début et à la fin du travail) ni les données transmises par les clients de l’entreprise, les architectes et les partenaires dans les fonctions publiques de l’Application (portail client, portail architecte, portail partenaire, état de la réalisation, acceptations). Le responsable du traitement de ces données est l’entreprise, et Mivare les traite exclusivement pour son compte, sur la base du Contrat de sous-traitance des données personnelles Mivare Space (MSP-LEG-003). Les personnes concernées par ces données doivent adresser leurs demandes à l’entreprise ; si une demande parvient à Mivare, Mivare la transmet à l’entreprise.

Les termes commençant par une majuscule ont le sens qui leur est donné dans les Conditions générales du service Mivare Space (MSP-LEG-001).

3. Finalités, bases juridiques et durées de conservation

• Enregistrement, gestion du Compte entreprise et fourniture du service (prénom et nom, adresse e-mail, numéro de téléphone s’il a été fourni, fonction, langue, paramètres du compte) : art. 6, paragraphe 1, point b) du RGPD à l’égard de la personne qui conclut le Contrat et, à l’égard des autres Utilisateurs, art. 6, paragraphe 1, point f) du RGPD (intérêt légitime consistant à fournir le service au Client). Nous conservons les données pendant la durée du Contrat et jusqu’à la suppression du Compte entreprise selon les Conditions générales.
• Authentification et sécurité (mot de passe sous forme d’empreinte, données d’authentification à deux facteurs, appareils de confiance, historique des connexions et des tentatives de connexion infructueuses, adresse IP, journal des événements de l’Application) : art. 6, paragraphe 1, point f) du RGPD (intérêt légitime consistant à protéger l’Application et les données). Le journal des événements est conservé pendant la durée fixée par le Client, de 30 à 180 jours (90 jours par défaut) ; les autres données sont conservées jusqu’à la suppression du compte de l’Utilisateur.
• Liste « Récemment ouverts » (type et identifiant des enregistrements récemment ouverts par l’Utilisateur et heure de leur ouverture, sans le contenu des enregistrements) : art. 6, paragraphe 1, point f) du RGPD (intérêt légitime à faciliter le retour au travail en cours). La liste n’est visible que par cet Utilisateur ; chaque entrée est supprimée 90 jours après la dernière ouverture de l’enregistrement, et la liste entière immédiatement avec le Compte entreprise.
• Enregistrement de l’acceptation des documents (personne, entreprise, document et sa version, date, adresse IP) : art. 6, paragraphe 1, points c) et f) du RGPD (preuve de la conclusion du Contrat). Nous le conservons pendant la durée du Contrat puis, après la suppression du Compte entreprise, dans une archive pendant 5 ans.
• Facturation, paiements et factures (données de l’entreprise, numéro de TVA intracommunautaire et résultat de sa vérification dans le système VIES, adresse e-mail de facturation, historique des paiements) : art. 6, paragraphe 1, points b) et c) du RGPD. Nous conservons les documents de facturation pendant la durée exigée par la législation fiscale et comptable, en principe 5 ans à compter de la fin de l’année civile au cours de laquelle l’impôt est devenu exigible.
• Traitement des demandes, des réclamations et de la correspondance : art. 6, paragraphe 1, points b) et f) du RGPD. Nous conservons ces données jusqu’à la clôture de l’affaire, puis jusqu’à l’expiration du délai de prescription des actions, au plus tard 3 ans après le dernier contact.
• Messages de service relatifs au service (sécurité, modifications des documents, paiements, interruptions techniques) : art. 6, paragraphe 1, points b) et f) du RGPD. Nous n’envoyons pas d’informations commerciales aux Utilisateurs sans consentement distinct.
• Constatation, exercice ou défense de droits en justice : art. 6, paragraphe 1, point f) du RGPD, jusqu’à l’expiration du délai de prescription.

La fourniture des données est facultative, mais nécessaire à la création du compte et à l’utilisation du service. Les données des Utilisateurs autres que la personne qui crée le compte sont transmises par l’Administrateur du compte.

4. Destinataires des données

• Contabo GmbH (Allemagne) : serveur de l’Application, base de données, espace de stockage de fichiers et sauvegardes (Object Storage), centres de données situés dans l’Union européenne ; nous chiffrons les fichiers et les sauvegardes avant leur écriture ; agit en qualité de sous-traitant.
• OVH Sp. z o.o. (groupe OVHcloud) : messagerie électronique, domaines et sites internet de Mivare, centres de données situés dans l’Union européenne ; agit en qualité de sous-traitant.
• Mistral AI SAS (France, Paris) : préparation des synthèses, des réponses et des projets de documents de l’assistante Mivi, exclusivement dans les Comptes entreprise pour lesquels l’Administrateur du compte l’a activée, et exclusivement pour les Utilisateurs qui l’ont activée pour leur propre compte ; agit en qualité de sous-traitant ; les requêtes sont traitées et conservées dans l’Union européenne et ne sont pas utilisées pour l’entraînement de modèles ; Mistral AI les conserve au plus 30 jours, exclusivement aux fins de détection des abus, puis les supprime.
• Stripe Payments Europe, Limited (Irlande) : traitement des paiements de l’Abonnement. Stripe reçoit le nom de l’entreprise, l’adresse e-mail de facturation, le pays, la langue et un identifiant technique du compte ; l’Administrateur du compte saisit les données de la carte directement sur la page de Stripe, et Mivare ne les reçoit ni ne les conserve. Pour les données de paiement, la prévention de la fraude et ses propres obligations légales, Stripe agit en qualité de responsable du traitement distinct sur la base de sa propre politique de confidentialité et, pour le reste, en qualité de sous-traitant. Stripe ne reçoit pas les Données du Client.
• Commission européenne (système VIES) : vérification du numéro de TVA intracommunautaire d’un Client établi dans un autre État membre de l’Union européenne, afin de déterminer le régime fiscal applicable.
• Ministre des Finances de la République de Pologne (système national polonais de facturation électronique, KSeF) : factures émises par Mivare au titre du service, dans la mesure requise par la législation relative à la taxe sur la valeur ajoutée ; agit en qualité de responsable du traitement distinct.
• Conseillers professionnels (juridiques, fiscaux, comptables) tenus à une obligation de confidentialité : dans la mesure nécessaire à la gestion de la facturation et des affaires juridiques.
• Autorités publiques : uniquement lorsque l’obligation de communiquer les données résulte de la loi.

Mivare ne vend pas de données personnelles et ne les communique pas à des fins marketing.

5. Services externes

L’Application ne charge dans le navigateur de l’Utilisateur aucune ressource provenant de serveurs autres que ceux de Mivare, à l’exception de la page de paiement de Stripe ouverte par l’Administrateur du compte lors du paiement. Les cartes des projets sont tracées à partir des données conservées sur le serveur de Mivare, sans service cartographique externe. Les polices de caractères, les icônes et les bibliothèques de l’Application sont chargées depuis le serveur de Mivare.

Dans l’application du salarié, le bouton « Itinéraire » ouvre, uniquement après un clic de l’Utilisateur, le service Google Maps avec l’adresse ou la position du projet comme destination de l’itinéraire. À partir de ce moment, l’utilisation de Google Maps est régie par les conditions de Google ; l’Application ne transmet aucune autre donnée à Google.

L’Application récupère les taux de change côté serveur à partir des tableaux publics de la Banque nationale de Pologne et directement auprès de la Banque centrale européenne (taux de référence) ; ces requêtes ne contiennent aucune donnée personnelle ni aucune donnée de l’entreprise.

L’Application n’utilise aucun outil d’analyse, de publicité ou de suivi. Les données ne sont transmises au service d’intelligence artificielle (Mistral AI) que lorsque l’assistante Mivi a été activée par l’Administrateur du compte pour l’entreprise et par l’Utilisateur pour son propre compte, et il s’agit uniquement des données auxquelles cet Utilisateur a accès. Chaque Utilisateur décide lui-même s’il utilise l’assistante et peut la désactiver à tout moment dans les paramètres de son compte ; l’étendue des données transmises est décrite dans le Contrat de sous-traitance. Dans le module Mivi+, l’historique des conversations de l’Utilisateur avec l’assistante est conservé dans l’Application pendant 90 jours, et l’Utilisateur peut le supprimer à tout moment.

6. Cookies et stockage du navigateur

L’Application utilise exclusivement les cookies nécessaires à son fonctionnement, qui ne requièrent pas de consentement :

• cookie de session de l’Application (dont le nom commence par « MIVARE ») : maintien de la session connectée ; supprimé à la fermeture du navigateur ou à la déconnexion ; inaccessible aux scripts, transmis exclusivement par une connexion chiffrée ;
• cookie de session des pages publiques (dont le nom commence par « MIVARE » et se termine par « PUBSESSID ») : maintien de l’accès au portail client, architecte ou partenaire, à l’état de la réalisation ou aux acceptations après vérification, pendant 30 minutes ; supprimé à la fermeture du navigateur ;
• mw_td : mémorisation d’un appareil de confiance après l’authentification à deux facteurs, à la demande de l’Utilisateur ; valable 30 jours ;
• mw_viewport : largeur de l’écran, permettant d’adapter la mise en page de l’Application à l’appareil ; valable 12 mois ; ne contient aucune donnée d’identification.

Dans le stockage du navigateur (localStorage), l’Application enregistre uniquement l’état de déploiement du menu latéral ; cette information n’est pas transmise au serveur.

Les cookies peuvent être supprimés dans les paramètres du navigateur ; leur blocage empêche la connexion à l’Application et l’utilisation des fonctions publiques.

7. Position de l’appareil et photographies

L’Application utilise la position de l’appareil uniquement sur l’écran du relevé des présences de l’application du salarié, après autorisation de l’Utilisateur dans le navigateur, afin de vérifier qu’il se trouve sur le lieu des travaux. Une position est enregistrée au début et une autre à la fin du travail ; après la fermeture de cet écran, l’Application n’utilise pas la position et ne l’enregistre pas entre ces opérations. Ces données sont des Données du Client et relèvent du champ d’application du Contrat de sous-traitance.

L’Application supprime des photographies téléversées les métadonnées, y compris la position, la date et les données de l’appareil qui y sont enregistrées.

8. Transferts de données hors de l’Espace économique européen

Mivare traite les données décrites dans la Politique sur des serveurs situés dans l’Union européenne. Stripe, en tant qu’opérateur de paiement, peut transférer des données de facturation à des entités de son groupe, dont Stripe, Inc. aux États-Unis, sur la base de la décision d’adéquation de la Commission européenne (EU-U.S. Data Privacy Framework) et de clauses contractuelles types. Tout autre transfert de données hors de l’Espace économique européen n’interviendra qu’au moyen d’un mécanisme conforme au chapitre V du RGPD, après mise à jour préalable de la Politique.

9. Droits des personnes concernées

Vous disposez d’un droit d’accès à vos données, de rectification, d’effacement, de limitation du traitement et de portabilité des données, ainsi que d’un droit d’opposition au traitement fondé sur l’intérêt légitime. Lorsque le traitement repose sur le consentement, vous pouvez le retirer à tout moment, sans que cela porte atteinte à la licéité du traitement effectué avant ce retrait.

Les demandes doivent être adressées à hello@mivaregroup.com. Nous répondons dans les meilleurs délais, au plus tard dans un délai d’un mois à compter de la réception de la demande ; dans des cas justifiés, ce délai peut être prolongé conformément au RGPD, ce dont nous vous informerons.

Vous avez le droit d’introduire une réclamation auprès du Président de l’Office polonais de protection des données personnelles (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Stawki 2, 00-193 Warszawa, ou auprès de l’autorité de contrôle de l’État membre de l’Union européenne de votre résidence habituelle, de votre lieu de travail ou du lieu de la violation.

10. Décisions automatisées

Mivare ne prend à l’égard des Utilisateurs aucune décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques les concernant ou les affectant de manière significative de façon similaire. La suspension automatique de l’accès après des tentatives de paiement infructueuses résulte des Conditions de paiement et concerne le Client en sa qualité d’entrepreneur ; cette décision peut à tout moment être clarifiée avec le service d’assistance.

11. Sécurité

Mivare applique des mesures techniques et organisationnelles adaptées au risque, notamment le chiffrement des connexions, la conservation des mots de passe exclusivement sous forme d’empreinte cryptographique, l’authentification à deux facteurs, la séparation logique des données de chaque entreprise, la journalisation des événements, le chiffrement des fichiers avant leur enregistrement dans l’espace de stockage de fichiers ainsi que des sauvegardes chiffrées conservées dans l’Union européenne séparément du serveur de l’Application. Les données supprimées de l’Application restent dans les sauvegardes pendant 30 jours au maximum, puis sont supprimées au fil de la rotation des sauvegardes. Une description détaillée figure dans le Contrat de sous-traitance (MSP-LEG-003).

12. Modifications de la Politique

La Politique est mise à jour en cas de modification des modalités de traitement des données, des destinataires ou de la législation. Nous informons les Administrateurs des comptes des modifications importantes par courrier électronique et dans l’Application. La version en vigueur est disponible à l’adresse https://mivaregroup.com/fr/legal/space/privacy/

La Politique est mise à disposition en sept versions linguistiques ; en cas de divergence, la version polonaise prévaut. La Politique est en vigueur à compter du 30 octobre 2026.